Google et d'autres régies auraient contourné les réglages vie privée de Safari

Le ciblage à tout prix ? Google et trois autres régies publicitaires auraient, selon le Wall Street Journal, usé d'un subterfuge technique pour contourner les réglages par défaut du navigateur Safari quant à la vie privée de ses utilisateurs.

En matière de publicité, les habitudes de navigation des internautes valent de l'or, mais encore faut-il pouvoir les tracer. Google et trois autres régies publicitaires auraient, selon le Wall Street Journal (édition abonnés), trouvé le moyen de contourner les réglages par défaut du navigateur Safari, de façon à placer sur la machine de l'utilisateur, qu'il s'agisse d'un ordinateur ou d'un iPhone, les fameux « cookies » qui permettent de suivre son parcours en ligne.

Par défaut, Safari est réglé pour n'accepter que les cookies qui proviennent des sites visités par l'utilisateur. Ceux qui sont associés aux bannières publicitaires sont alors rejetés, dans la mesure où ils proviennent d'un domaine différent.

Ce comportement prive les régies publicitaires d'une importante source d'information, puisque les millions d'utilisateurs de Safari passent ainsi au travers des mailles de leur filet. La barrière instaurée au niveau du navigateur n'est toutefois pas très difficile à contourner, comme l'a découvert Jonathan Mayer, chercheur à Stanford, dont les travaux ont ensuite été vérifiés par un expert du WSJ.

Sans entrer dans les détails techniques, on dira que Google a modifié ses publicités de façon à faire figurer un formulaire invisible pour l'internaute. L'interprétation du code associé par le navigateur déclenche une action, qui fait que le domaine dont vient la bannière publicitaire est alors considéré comme actif : le cookie qu'elle délivre est alors accepté par Safari.

Les régies Vibrant Media, Media Innovation Group (groupe WPP) et PointRoll (Gannett) auraient usé du même procédé.

En réalité, la méthode n'est pas nouvelle. Facebook y fait d'ailleurs explicitement allusion dans ses pages dédiées aux développeurs.

Pourquoi Google a-t-il entrepris d'implémenter ce contournement ?

Depuis la fin 2011, le moteur de recherche a interconnecté ses options de vote (le fameux bouton +1) et ses réclames publicitaires de type display (bannières), gérées au travers de sa fililale Doubleclick. Le dispositif lui permet de recueillir les suffrages des internautes quant aux publicités qu'ils voient pendant leur surf, mais aussi et surtout de leur afficher des publicités qui ont été « approuvées » par leurs contacts.

Problème : pour que cette couche supplémentaire de ciblage fonctionne, il faut détecter si l'internaute est bien connecté à son compte Google, et s'arranger pour que cette information soit stockée au niveau de Safari. L'installation d'un cookie s'impose donc.

Jonathan Mayer constate toutefois que Google ne s'est pas arrêté à ce premier témoin : selon lui, le moteur profitait ensuite de la brèche ouverte pour faire passer les cookies publicitaires de Doubleclick : ceux-là même que cherche à bloquer Safari par défaut. La technique aurait été mise en place sur 22 des 100 sites les plus visités du Web américain.

« Il est important de préciser que ces cookies publicitaires ne collectent aucune information personnelle », a fait valoir un porte-parole du moteur, tout en annonçant qu'il allait immédiatement être mis un terme à ce contournement. L'exploitation de cette astuce pourrait être rendue impossible dans de prochaines versions de Webkit, le moteur qui anime Safari.